Електронна търговия и търговия на дребно
Тестване, съобразено с електронна търговия и търговия на дребно.
Плащането, пътищата за измами и работоспособността в пиковия сезон са мястото, където сигурността в търговията на дребно се печели или губи. Търсим дефектите в логиката, които скенерът не вижда, преди най-натоварената ви седмица.
Защо има значение
Къде търговията губи пари и доверие
Онлайн магазинът е основен канал за приходи. Поръчките, плащанията, личните данни и програмите за лоялност създават различни възможности за злоупотреба. Нападателите могат да манипулират цени, промоции и връщания, да използват откраднати данни за вход в клиентски акаунти или да променят скриптове на страницата за плащане. Последствията включват измами, оспорени плащания, регулаторни проверки и загубено доверие.
Рискът може да се увеличи именно когато прекъсването на продажбите е най-неприемливо. Кампании, кратки разпродажби и нови интеграции с търговски платформи или платежни доставчици често се пускат под натиска на срокове. Скриптовете и добавките на трети страни може да се променят извън вашия процес за пускане на версии. Тестваме при договорени ограничения, за да покажем къде могат да бъдат загубени пари или разкрити данни, кои поправки са приоритетни и какви доказателства да подготвите за оценителя по сигурността на плащанията.
Картина на заплахите
Пътищата за атака, които тестваме задълбочено
Манипулиране на цени и кошница
Проверяваме дали при плащане сървърът преизчислява цените, количествата, валутите, доставката и отстъпките, вместо да се доверява на клиента. Тестваме дали едновременни заявки позволяват повторна употреба на еднократен код и дали стъпки в обработката на поръчката могат да се прескачат или изпълняват повторно.
Подправяне на скриптове на страницата за плащане
Един компрометиран таг за анализ, чат джаджа или приставка може да чете полетата за карта, докато клиентът пише. Преглеждаме кои скриптове се зареждат на страниците за плащане, как са разрешени и проверени за цялост и дали Content Security Policy и засичането на промени биха разкрили инжектиран скимер.
Автоматизирано превземане на акаунти
Запазените карти, адреси и бонусни салда правят клиентските акаунти ценни за кражба. Оценяваме входа, възстановяването на парола, еднократните кодове и управлението на сесиите за пропуски в ограничаването на скоростта, изброяване на потребители и слабости в токените, които позволяват на инструментите за credential stuffing да превърнат изтекли пароли в използваеми акаунти.
Злоупотреба с бонуси, ваучери и връщания
Проверяваме защитата на ваучерите, точките за лоялност и възстановяването на суми. Търсим неправомерно разкриване на салда, генериране или осребряване на ваучери, прехвърляне на точки и злоупотреба със схемите за препоръки. Целта е да установим дали може да се създава, дублира или пренасочва парична стойност.
Как тестваме
Как тестваме, без да спираме касите
Картографиране на паричните потоци
Започваме с това как поръчките, плащанията, възстановяванията и съхранената стойност реално се движат през вашата платформа, след което договаряме обхвата с вас и, където е уместно, с вашия оценител — обхващайки магазина, приложенията, API, платежните интеграции и скриптовете от трети страни.
Планиране около търговията
Тестването се планира встрани от пиковите кампании и периодите без промени. Предпочитаме тестови среди, които отразяват продукционната, използваме специални тестови акаунти и изолирани тестови среди за плащания и договаряме ограничения на скоростта, условия за спиране и лице за контакт, достъпно по време на тестването, преди да докоснем продукцията.
Тестване на логиката, не само на входните данни
Старши тестери преминават ръчно през плащането, промоциите, акаунтите и API, свързвайки малки дефекти в реалистични пътища за измама и кражба на данни. Автоматизираното сканиране подпомага покритието, но най-скъпите констатации в търговията идват от разбирането на предвидената бизнес логика.
Доклад, корекция, повторен тест
Всяка констатация се оценява по възможност за експлоатация и бизнес въздействие, с ясни стъпки за възпроизвеждане за разработчиците. Резюметата за ръководството представят измамата и излагането на данни за ръководния екип, а ние тестваме повторно корекциите, за да разполагате с доказателства за отстраняване преди следващия пик или оценка.
Регулация
Правила за плащания и данни, които определят тестването
Тестването на сигурността в търговията се определя главно от изискванията за картови плащания и защитата на данните; това е насока, а вашият оценител или правен съветник потвърждава какво се отнася за вас.
На какво се съсредоточаваме
- Уеб и мобилни приложения на магазина
- Процеси на плащане и завършване на поръчка
- API за поръчки и изпълнение
- Конфигурация на облака и CDN
PCI DSS v4.0, изискване 11
Изискване 11.4 очаква вътрешно и външно тестване за проникване поне веднъж годишно и след значима промяна, включително тестване на сегментацията, когато тя намалява обхвата. Привеждаме методологията и докладването в съответствие с това изискване; вашият QSA или оценител определя средата с данни на картодържатели и окончателния обхват.
PCI DSS v4.0, скриптове на страниците за плащане
Изисквания 6.4.3 и 11.6.1 обхващат скриптовете на страниците за плащане: опис, разрешаване, цялост и засичане на неразрешени промени. Където те се отнасят за вашия начин на валидиране, тестването показва как тези контроли издържат срещу реалистичен опит за инжектиран скрипт.
GDPR
Член 32 изисква сигурност, подходяща на риска, включително процес за редовно изпитване и оценяване на ефективността на техническите мерки. За търговци, които съхраняват клиентски профили, история на поръчките и маркетингови данни, тестването за проникване е един практичен начин това да бъде доказано.
PSD2 и задълбочено удостоверяване на клиента
Задълбоченото удостоверяване и неговите изключения се прилагат предимно от вашия платежен доставчик и издателя на картата, но интеграцията на търговеца също има значение. Тестваме как потоците по 3-D Secure, платежните обратни извиквания и потвърждението на поръчката обработват неуспешно, изоставено или подправено удостоверяване, за да не бъде освободена стока без плащане.
NIS2, за онлайн пазарите
Средните и големите доставчици на онлайн пазари могат да попаднат в обхвата на NIS2 като важни субекти, което носи задължения за управление на риска и за инциденти. Дали сте в обхвата зависи от дейностите ви и националното транспониране; когато сте, независимото тестване помага да се докаже, че мерките ви за сигурност са ефективни.
Кога ви е нужно
Чести ангажименти в търговията
Типични ангажименти за онлайн и омниканални търговци, съобразени с вашата платформа и търговски календар.
Оценка на плащането и промоциите преди пик
Фокусиран тест на кошницата, ценообразуването, ваучерите и платежните потоци преди голямо търговско събитие, планиран така, че да остане време за корекции и повторен тест, преди да започнат периодите без промени.
Годишен тест за проникване по PCI DSS
Външно, вътрешно тестване и тестване на сегментацията, съобразени с изискване 11.4, с докладване, структурирано така, че вашият QSA да може да проследи методологията, обхвата и отстраняването, и с повторен тест, потвърждаващ, че констатациите, годни за експлоатация, са закрити.
Пускане на нова платформа, приложение или пазар
Тестване на пренесен магазин, мобилно приложение или интеграция с пазар преди пускане в експлоатация, обхващащо удостоверяването, API, логиката на поръчките и изпълнението им, както и облачната и CDN конфигурацията, върху която работи.
Преглед на клиентските акаунти и програмата за лоялност
Оценка на входа, възстановяването, сесиите и функциите за съхранена стойност срещу credential stuffing, превземане на акаунти и измами с точки или ваучери, с практични насоки за ограничаване на скоростта, допълнителни проверки и наблюдение.
Често задавани въпроси
Често задавани въпроси
Можете ли да тествате, без да нарушавате текущите продажби?
Да. Предпочитаме тестова среда, която отразява продукционната, и планираме всяко тестване в продукция встрани от кампании, пикови периоди и периоди без промени. Използваме специални тестови акаунти и изолирани тестови среди за плащания, договаряме предварително ограничения на скоростта и условия за спиране и държим поименен контакт от ваша страна достъпен през цялото време.
Прави ли ни тестът за проникване съответстващи на PCI DSS?
Не. Тестването за проникване е едно изискване в рамките на PCI DSS, наред с много други контроли, които вашият оценител преценява. Привеждаме тестването и докладването си в съответствие с изискване 11.4, но вашият QSA или обслужваща банка определя обхвата и взема решението за съответствието.
Регулаторните ви насоки правен съвет ли са?
Не. Нашите бележки за PCI DSS, GDPR, PSD2 и NIS2 са обща насока за това как тези рамки се отнасят към тестването на сигурността. Вашият QSA, обслужваща банка и правни съветници следва да потвърдят кои задължения се отнасят за вашия бизнес и как трябва да бъдат изпълнени.
Използваме хоствана страница за плащане. Нужно ли е пак тестване?
Обикновено да. Изнасянето на приемането на плащания намалява обхвата на картовите данни, но страницата, която пренасочва към доставчика или го вгражда, пак може да бъде подправена, а логиката на ценообразуването, поръчките и акаунтите остава ваша. Вашият оценител потвърждава обхвата по PCI DSS, а ние насочваме тестването натам, където остава реален риск.
Тествате ли скриптове и приставки от трети страни?
Тестваме как те се зареждат и контролират на вашия сайт, включително описа на скриптовете, Content Security Policy, проверките за цялост и засичането на промени на страниците за плащане. Не атакуваме собствената инфраструктура на доставчик без негово разрешение, но показваме откъде компрометиран скрипт на доставчик би могъл да достигне до данните на вашите клиенти.
Какво получаваме накрая?
Доклад с резюме за ръководството и технически констатации, оценени по възможност за експлоатация и бизнес въздействие, всяка със стъпки за възпроизвеждане и насоки за отстраняване. Преглеждаме резултатите заедно с екипа ви и тестваме повторно корекциите, за да разполагате с доказателства за отстраняване пред вашия оценител и борда.
Относими услуги
Регулаторните бележки на тази страница са обща насока, а не правен съвет. Вашият компетентен орган, одитор или оценител определя какво се отнася за вас.
Определете обхвата на ангажимент за електронна търговия и търговия на дребно.
Кажете ни какво искате да защитите. Опитен специалист ще ви помогне да определите обхвата и следващите стъпки. Обикновено отговаряме в рамките на един работен ден.
Поверителност от първия разговор
Можем да подпишем вашето NDA, преди да споделите чувствителни детайли. За запитването ви се прилага политиката ни за поверителност.
Как защитаваме информацията ви · Политика за поверителност